Délibération de la formation restreinte de la CNIL n° SAN-2026-009 du 21 juillet 2026
Les établissements de santé constituent depuis plusieurs années une cible privilégiée des cyberattaques, alors même que leurs systèmes d’information contiennent des volumes importants de données particulièrement sensibles. Dans une décision du 21 juillet 2026, la formation restreinte de la CNIL vient de sanctionner un hôpital privé à hauteur de 500 000 euros à la suite d’une attaque informatique ayant conduit à l’exfiltration des données de plus de 500 000 patients.
Cette décision est intéressante à deux titres : elle rappelle plusieurs mesures élémentaires qui doivent être mises en œuvre pour assurer la sécurité des systèmes d’information contenant des données de santé et se distingue par le niveau de détail de l’analyse menée par la formation restreinte. Elle peut utilement servir aux responsables de traitement pour guider leurs pratiques.
Exfiltration de 524 867 fiches patients
L’hôpital privé utilise un dossier patient informatisé (« DPI ») permettant de retracer le parcours de soins des patients et de coordonner l’intervention des différents professionnels participant à leur prise en charge. En 2025, ce DPI contenait les données d’environ 530 000 patients et plusieurs. Les informations enregistrées comprenaient notamment des données d’état civil, les numéros de sécurité sociale, les coordonnées des patients, leur situation familiale et professionnelle, mais également des données de santé et, dans certains cas, des copies du recto de cartes nationales d’identité.
En juin 2025, un attaquant est parvenu à accéder au DPI en utilisant les identifiants d’un compte appartenant à un médecin libéral rattaché à l’hôpital. Après une phase de reconnaissance lui permettant de comprendre le fonctionnement de l’application, l’attaquant a procédé, entre le 26 juin et le 1er juillet 2025, à l’exfiltration de 524 867 fiches patients. Parmi elles, 202 246 comportaient des données relatives à des tiers de confiance désignés par les patients (proches).
L’hôpital a notifié cette violation à la CNIL le 4 juillet 2025. En parallèle, l’autorité a reçu neuf plaintes de personnes concernées par la violation, avant de procéder à un contrôle sur place dans les locaux de l’établissement.
L’autorité a retenu plusieurs manquements aux exigences de sécurité prévues par le RGPD. Elle précise toutefois que la sanction prononcée ne vise pas la violation de données en elle-même, mais l’insuffisance des mesures de sécurité mises en œuvre en amont, ayant permis la survenance de cet incident.
Sécurisation insuffisante des accès à distance
Le premier manquement concerne les conditions d’accès à distance au DPI.
Au moment de l’attaque, environ 450 utilisateurs externes à l’hôpital, comprenant des praticiens libéraux, leurs secrétariats et certains salariés de l’éditeur du logiciel, pouvaient se connecter au DPI directement depuis internet au moyen d’un simple identifiant et mot de passe. Aucun VPN ni mécanisme d’authentification à deux facteurs n’était imposé.
Or, la CNIL rappelle que le référentiel relatif à l’identification électronique des utilisateurs des services numériques en santé (rendu opposable par un arrêté de 2022) impose, pour ce type d’accès à distance, une authentification à deux facteurs. La version du logiciel utilisée par l’établissement permettait d’ailleurs la mise en œuvre d’une telle mesure, mais celle-ci n’avait pas été activée.
La CNIL relève que, si une authentification multifacteur avait été mise en œuvre, la seule connaissance du mot de passe compromis n’aurait pas permis d’accéder au DPI.
Politique d’habilitations trop permissive
La formation restreinte s’intéresse ensuite à la politique d’habilitations mise en œuvre au sein du DPI.
Elle rappelle à ce titre qu’une politique d’habilitations doit permettre de limiter les accès aux seules données dont chaque utilisateur a besoin pour l’accomplissement de ses missions. Dans le secteur de la santé, cette politique doit également tenir compte de la notion d’« équipe de soins » prévue par le code de la santé publique : seuls les professionnels effectivement impliqués dans la prise en charge d’un patient doivent, par défaut, pouvoir accéder aux informations couvertes par le secret médical.
En l’espèce, l’hôpital avait bien mis en place une matrice distinguant différentes catégories de métiers et déterminant les modules du DPI auxquels chacune pouvait accéder. Toutefois, le logiciel ne permettait pas de cloisonner les fiches patients. Les professionnels médicaux et paramédicaux pouvaient donc consulter les données de l’ensemble des patients de l’établissement correspondant aux modules auxquels ils avaient accès, y compris lorsqu’ils n’étaient pas impliqués dans leur prise en charge.
Cette carence a également directement contribué à l’ampleur de la violation : après avoir compromis le compte d’un seul médecin, l’attaquant a pu accéder aux données de l’intégralité des patients de l’hôpital. La formation restreinte souligne que si un cloisonnement avait été mis en œuvre, la fuite aurait été limitée aux dossiers des patients effectivement pris en charge par le médecin dont les identifiants avaient été dérobés.
Mesures de traçabilité insuffisantes
La décision apporte également des précisions intéressantes sur les obligations relatives à la journalisation des accès. La CNIL rappelle que la mise en place d’un dispositif de journalisation participe au respect de l’obligation de sécurité prévue par le RGPD, mais surtout que cette sécurisation doit être « essentiellement active ». Les informations enregistrées doivent ainsi pouvoir être exploitées en temps réel ou à court terme afin de détecter des opérations anormales et de permettre de réagir rapidement à un incident.
En l’espèce, l’hôpital disposait bien de différents outils de sécurité ainsi que d’un système permettant de conserver les traces des actions réalisées par les utilisateurs du DPI. Cependant, ces traces applicatives ne faisaient l’objet d’aucune analyse automatisée ni d’aucun contrôle régulier et n’étaient exploitées qu’à la demande, notamment en cas de suspicion d’une anomalie.
Cette insuffisance s’est également concrétisée au cours de l’attaque. Après une phase de reconnaissance d’environ douze heures comprenant 665 requêtes, l’attaquant a procédé pendant cinq jours à une extraction automatisée de 524 867 fiches patients, correspondant à une moyenne de 73 fiches consultées par minute. La formation restreinte considère qu’un système de journalisation comprenant une analyse automatique des traces applicatives aurait pu permettre de détecter rapidement ce volume de consultations incompatible avec une activité humaine et de mettre fin plus tôt à l’exfiltration.
Autres vulnérabilités et manquements relevés par la CNIL
En complément des trois vulnérabilités principales ayant conduit ou facilité la violation de données, la CNIL relève deux autres carences de sécurité à l’occasion de ses opérations de contrôle :
- La première concerne la procédure de réinitialisation des mots de passe mise en œuvre à la suite de l’attaque : l’hôpital avait attribué un mot de passe temporaire identique à l’ensemble des praticiens externes et l’avait transmis au président de la commission médicale d’établissement, à charge pour celui-ci de le leur retransmettre. Ce process ne permettait manifestement pas de garantir la confidentialité des identifiants au DPI.
- La seconde concerne les salariés de l’éditeur du logiciel, qui disposaient d’un accès permanent au DPI et pouvaient s’y connecter à leur initiative, sans autorisation préalable de l’hôpital.
La CNIL retient enfin un manquement à l’article 34 du RGPD : si l’hôpital avait informé les patients concernés par la violation, aucune information individuelle n’avait été adressée aux 202 246 personnes désignées comme personnes de confiance, dont les données avaient également été exfiltrées. La formation restreinte considère que les informations concernées étaient susceptibles de les exposer à un risque élevé, notamment à des tentatives d’hameçonnage ou d’usurpation d’identité.
Amende de 500 000 euros et injonction de mise en conformité
Au regard de l’ensemble de ces éléments, la formation restreinte prononce une amende administrative de 500 000 euros pour les manquements aux articles 32 et 34 du RGPD. Pour déterminer le montant de cette amende, la CNIL applique la notion d’« entreprise » au sens du RGPD et rappelle que celle-ci doit être comprise comme une unité économique, susceptible d’être constituée de plusieurs personnes morales. En l’espèce, elle considère que l’hôpital et le groupe auquel il appartient relèvent d’une même unité économique. Afin que l’amende soit effective, proportionnée et dissuasive et corresponde à la capacité économique réelle de son destinataire, son montant est donc apprécié en prenant en compte le chiffre d’affaires de la société mère.
Elle prononce également une injonction unique de mettre le traitement en conformité avec l’article 32 du RGPD. Celle-ci porte sur trois mesures :
- mettre en place un système de journalisation et d’analyse proactive des journaux permettant de détecter les comportements anormaux ;
- mettre à jour la politique d’habilitations afin que seules les personnes ayant besoin de connaître les données puissent y accéder par défaut, tout en prévoyant un mécanisme de type « bris de glace » pour les situations d’urgence ; et
- mettre en place des mesures techniques afin que l’éditeur du logiciel ne puisse accéder au DPI que sur autorisation préalable de l’hôpital.
Ces mesures doivent être mises en œuvre dans des délais respectifs de trois, quinze et trois mois et sont chacune assorties d’une astreinte de 1 000 euros par jour de retard.
L’intérêt de cette décision réside notamment dans la méthode suivie par la CNIL pour apprécier cette obligation. Pour chaque vulnérabilité, l’autorité part des risques concrets présentés par le traitement, identifie les mesures qui auraient dû être mises en œuvre au regard du cadre juridique et de l’état des connaissances, puis vérifie leur déploiement effectif et, pour les principales carences, leur rôle dans la réalisation ou l’ampleur de l’attaque. Cela pourra fournir aux responsables de traitement, en particulier dans le secteur de la santé, une illustration concrète de la manière dont la conformité à l’article 32 du RGPD doit être appréciée.
